인도의 DPDP법: 스타트업, 2027년 5월 시한 직면

인도 스타트업들이 개인 데이터 처리 방식을 전면 개편해야 하는 확정적인 시한을 받았다. The Logical Indian의 보도에 따르면, 디지털 개인 데이터 보호법(DPDP법)이 2027년 5월까지 완전히 시행될 예정이며, 이에 따라 기업들은 인도 사용자의 개인 정보를 수집, 저장 및 보호하는 방식을 재구축하는 데 1년 반도 채 남지 않게 되었다.

DPDP법은 2023년에 통과되었지만, 실제 시행 규칙은 2025년 11월에야 발표되었다. 이로 인해 먼 훗날의 입법 약속이었던 것이 기업들이 더 이상 무시할 수 없는 현실적인 운영 기한으로 바뀌었다. 최소한의 마찰로 사용자 데이터를 수집하는 데 익숙해진 인도 스타트업 생태계에 있어, 이번 변화는 인도 디지털 역사상 가장 중요한 규제 변화 중 하나를 의미한다.

DPDP법이 실제로 요구하는 것

DPDP법의 핵심은 스타트업을 포함하여 개인 데이터를 수집하거나 처리하는 모든 회사를 '데이터 수탁자(Data Fiduciary)'로 재분류한다는 점이다. 이 지정에는 법적 책임이 따른다. 즉, 기업은 개인 정보를 수집하기 전에 유효하고 사전 동의를 얻어야 하고, 해당 데이터를 보호하기 위한 합리적인 보안 조치를 이행해야 하며, 규제 당국이 조사 시 적법한 처리를 증명할 준비가 되어 있어야 한다.

이는 많은 스타트업이 의존해 온 느슨하게 관리되던 데이터 관행에서 크게 벗어나는 것이다. 더 이상 복잡한 서비스 이용 약관에 동의를 숨기거나 모호한 옵트인을 통해 동의를 간주할 수 없다. 기업은 개인 데이터 사용 방식에 대한 명확하고 구체적인 허가가 필요하며, 이를 증명할 시스템을 갖춰야 한다. 이 변화가 일반 사용자에게 어떤 의미를 갖는지 더 깊이 알아보려면, DPDP법의 2027년 시한은 인도인이 얻게 될 새로운 권리를 설명하는 글을 통해 법이 완전히 발효되면 사용자들이 자신의 정보 수집 및 사용 방식을 더 잘 통제할 수 있게 됨을 확인할 수 있다.

스타트업이 압박을 받는 이유

대기업들은 대개 이미 전담 법률 및 컴플라이언스 팀을 갖추고 있으며, 외부 법률 자문을 구하거나 사내 개인정보보호 인프라를 구축할 예산도 있다. 하지만 스타트업, 특히 초기 단계 스타트업은 대개 그런 여유가 없다. 많은 스타트업이 빠르고 마찰 없는 데이터 수집을 기반으로 제품을 만들어 왔다. 전화번호로 가입하고 몇 가지 권한을 허용하면 바로 앱을 사용할 수 있는 방식이다.

DPDP법의 컴플라이언스 요구 사항은 소규모 회사에 의미 있는 방식으로 축소 적용되지 않는다. 스타트업은 여전히 적절한 동의 관리 시스템, 안전한 데이터 저장 관행, 그리고 사용자 본인의 데이터 요청에 대응하는 절차를 구축해야 한다. 이는 엔지니어가 몇 명뿐이고 전담 개인정보보호 책임자조차 없는 회사에게는 상당한 기술적, 법적 부담이다.

이를 제대로 이행하지 못했을 때의 위험 또한 상당하다. 최대 25억 루피(₹250 crore)에 달할 수 있는 DPDP법 위반 벌금에 대한 상세 분석에서 보듯, 법규 미준수는 사소한 행정적 제재에 그치지 않는다. 초기 단계 회사에게 단 한 번의 심각한 위반도 재정적으로 치명적일 수 있기 때문에, 사후 대응보다 사전 컴플라이언스 계획에 투자하는 것이 훨씬 저렴하다.

시간은 이미 흐르고 있다

2027년 5월이 아직 멀게 느껴질지 모르지만, 컴플라이언트한 데이터 인프라를 처음부터 구축하는 데는 시간이 걸린다. 스타트업은 현재 수집 중인 개인 데이터를 감사하고, 시스템 내에서 데이터가 어떻게 흐르는지 파악하며, 동의 메커니즘을 재설계하고, 규제 당국이 법 집행을 본격화하기 전에 보안 조치를 도입해야 한다. 기한 몇 달 전까지 이 과정을 미룬다면 오류를 수정할 여지가 거의 없으며, 특히 현재 관행의 미비점을 파고든 후에야 발견하는 회사들에게는 더욱 그러하다.

더 광범위한 시장 신호도 존재한다. 투자자와 기업 파트너들은 거래를 체결하기 전에 스타트업의 데이터 보호 태세에 대해 질문할 가능성이 점점 더 커지고 있다. DPDP법 준비 상태를 입증할 수 있다는 것은 단순한 규제 체크박스를 넘어 경쟁 우위가 될 수 있다.

이것이 의미하는 바

인도 사용자로부터 이름, 전화번호, 위치 데이터, 행동 정보 등 일체의 개인 데이터를 수집하는 스타트업을 운영하고 있다면, 이 법은 귀하에게 적용된다. 2027년 5월 기한을 먼 미래의 일처럼 취급하는 것은 위험하다. 동의 재설계, 데이터 매핑, 보안 업그레이드와 같은 컴플라이언스 작업은 일반적으로 몇 주가 아닌 몇 달이 걸리기 때문이다.

일반 사용자에게 DPDP법은 궁극적으로 자신의 개인 정보에 어떤 일이 일어나는지에 대한 더 큰 투명성과, 회사가 이를 잘못 처리할 경우 더 강력한 법적 보호를 의미하게 될 것이다. 그동안은 법의 완전한 시행이 현재가 아닌 미래의 일이므로, 앱 및 서비스에 어떤 데이터를 공유할지 신중하게 결정하는 것이 여전히 가치 있는 일이다.

실천 가능한 핵심 사항

스타트업 창업자와 운영자는 나중이 아닌 지금 시작해야 한다. 먼저 회사가 어떤 개인 데이터를 어떤 목적으로 수집하는지 감사하고, 해당 데이터가 시스템 내에서 어떻게 이동하고 어디에 저장되는지 매핑하는 것부터 시작하라. 현재의 동의 절차를 검토하여 명확하고 구체적이며 충분한 정보에 기반한 허가라는 기준에 어디서 미치는지 파악하라. 보안 조치를 나중에 고려할 사항이 아닌 제대로 구축하기 위해 시간과 자원을 예산에 반영하라. 그리고 2027년 기한이 다가옴에 따라 집행 메커니즘이 구체화되면서 추가적인 해석 지침이 나올 가능성이 높으므로 규제 당국의 추가 지침을 계속 주시하라.

DPDP법은 인도 디지털 경제 전반에서 개인 데이터 처리 방식의 근본적인 변화를 의미한다. 앞으로의 시간을 무시할 카운트다운이 아닌 진정한 준비 기간으로 여기는 스타트업들은 완전한 법 집행이 시작될 때 훨씬 더 유리한 위치에 서게 될 것이다.